Cómo saber si tu password de LinkedIn ha sido capturado

De pcastagnaro -

LinkedIn es la red social profesional por excelencia, con 9 años de vida ya ha superado los 160 millones de usuarios alrededor del mundo, logrando una muy buena penetración de mercado en América Latina, como en gran parte del mundo. Pero ayer salió a la luz que han extraído los hashes de 6 millones de contraseñas de LinkedIn y se han publicado en una cuenta rusa al estilo Dropbox.

Hay que aclarar que la lista sólo contiene los hashes de las passwords y que no hay ninguna dirección de correo electrónico o nombres de la lista asociadas a esas contraseñas, pero eso no indica que quién los haya extraído no los tenga.

Las claves no han sido extraídas en texto claro, sino que lo que se ha liberado es una lista de hashes SHA1 de las contraseñas.  En la lista que está disponible por Internet hay algunos hashes que comienzan con cinco ceros: esos cinco ceros indica que ya se ha descubierto la contraseña correspondiente a ese hash.

A continuación se detallan las diferentes vías para saber si la contraseña ha sido robada:

1. Online (multiplataforma)

Los desarrolladores Chris Shiflett, Sean Coates, y Bedrich Rios han desarrollado en tan sólo unas pocas horas una manera de comprobar para ver si una contraseña de LinkedIn ha sido filtrada. Tras el descubrimiento, se han volcado de las contraseñas (ya retiradas de su ubicación original, aunque todavía ampliamente disponible en la Web) y se ha creado LeakedIn.org.

Simplemente se debe escribir la contraseña y el sitio web dictaminará si la misma se encuentra dentro del 5% de las claves capturadas. No obstante, en términos de seguridad se podrá pensar que escribir la contraseña en un sitio sin reputación y sin medidas de seguridad es totalmente descabellado y eso es una certeza. Pero esta vía es solamente una alternativa (la menso segura, por supuesto) pero vale aclarar que el sitio utiliza JavaScript para calcular el hash de la contraseña, y debido a que sólo utiliza el código del lado del cliente, la clave nunca viaja a ningún servidor, sino que en realidad queda en el equipo en el cuál se está realizando la consulta.

2. Calculando el hash manualmente (Windows)

  1. Descargar la utilidad sha1sum del sitio GNUPG: ftp://ftp.gnupg.org/gcrypt/binary/sha1sum.exe
  2. Escribir en un archivo la contraseña
  3. Abrir una consola (Inicio -> Ejecutar, escribir cmd y pulsar enter)
  4. Arrastrar primero el ejecutable (sha1sum.exe) a la ventana de comandos y después el archivo recientemente creado con la contraseña, asegurándo que queda un espacio entre el nombre del ejecutable y el del archivo.

De esa forma se consigue obtener el hash SHA1. Por lo tanto sólo queda buscarlo en la lista de hashes. Abrirla con el Bloc de notas o similar y hacer clic en la opción de búsqueda (debería estar en el menú Edición, aunque depende del programa que se utilice).

Primero buscar el hash obtenido. Si no se encuentra, probar sustituyendo los cinco primeros caracteres por ceros. Si sigue sin aparecer, eso indica que la contraseña no ha sido comprometida.

3. Calculando el hash manualmente (Mac)

  1. Abrir una consola y ejecutar oshasum
  2. Escribir la contraseña y pulsar Ctrl – D (no la tecla Comando)

De esa forma se consigue obtener el hash SHA1. Por lo tanto sólo queda buscarlo en la lista de hashes.

Primero buscar el hash obtenido. Si no se encuentra, probar sustituyendo los cinco primeros caracteres por ceros. Si sigue sin aparecer, eso indica que la contraseña no ha sido comprometida.

 

4. Calculando el hash manualmente (Linux)

  1. Abrir una consola y ejecutad sha1sum
  2. Escribir la contraseña y pulsar Ctrl – D

De esa forma se consigue obtener el hash SHA1. Por lo tanto sólo queda buscarlo en la lista de hashes.

Primero buscar el hash obtenido. Si no se encuentra, probar sustituyendo los cinco primeros caracteres por ceros. Si sigue sin aparecer, eso indica que la contraseña no ha sido comprometida.

 

Archivos necesarios:

Fuente:

Comentarios

Publicar un comentario

Siéntase libre de dejar su comentario a continuación...

Entradas populares de este blog

Trinity Rescue Kit: Tutorial para eliminar la contraseña de administrador en Windows

De pcastagnaro -
Imagen
Quiero compartir con ustedes una utilidad muy importante, tanto para el escaneo de virus como para la recuperación de datos en una PC. Trinity Rescue Kit (TRK) es una distribución Linux que se ejecuta como un LiveCD (es decir, se bootea desde el arranque de la máquina) para poder escanear y chequear los discos duros desde fuera . Si bien se puede chequear cualquier sistema operativo, su uso está dirigido a aquellos sistemas con Windows que pueden haber sido afectados por un virus o con pérdida de datos. Se basa en un kernel de la distro Mandriva para utilizar los comandos y demás. Para remover los virus, utiliza 4 motores de antivirus muy poderosos: BitDefender Scanner, Grisoft AVG, F-prot y Clamav . Un agregado importante es que si tenés una conexión a internet que utilice DHCP, las bases de los antivirus se actualizarán inmediatamente.
Leer más

Cómo extraer el handshake WPA/WPA2 de archivos de captura grandes

De Unknown -
Imagen
Cuando se posee una captura de tráfico en formato .pcap o .cap con el handshake WPA/WPA2 suele suceder que el mismo posee un tamaño grande o excesivamente grande según el tiempo que se haya tardado en obtener el handshake. Si lo que se desea es un archivo de tráfico con sólamente los paquetes necesarios para hacer el crackeo, a continuación se muestran los pasos que se deberán llevar a cabo para filtrar un archivo de captura mostrando sólo aquellos paquetes necesarios y cómo exportarlo con el fin de obtener un nuevo archivo de captura liviano pero con la información que se desea.
Leer más

Crear un Fake AP en muy pocos pasos con Gerix

De pcastagnaro -
Imagen
La herramienta Gerix IT es, básicamente, es una extensión visual de las tradicionales “macchanger”, “aircrack-ng” y otras, que presenta un proceso automatizado de todas estas herramientas. Gerix IT viene incluida en Backtrack 5 pero no está dentro de Backtrack 4. Por lo tanto los usuarios de Backtrack 5 deberán ir al punto 2 del tutorial, mientras que pero los usuarios de la versión 4 deberán comenzar por el principio:
Leer más